Les cybercriminels utilisent des modèles d'intelligence artificielle (IA) populaires comme Claude d'Anthropic, Gemini de Google et Kimi AI de Moonshot AI pour évaluer la valeur financière de victimes potentielles, y compris celles qui possèdent des cryptomonnaies.
Des chercheurs en cybersécurité de Cisco Talos ont détaillé dans un nouveau rapport comment un nouveau type de malware Windows baptisé VOLTA-AUTODOXER, ou simplement VOLTA, vole des données sensibles et utilise des outils d'IA pour identifier des cibles potentiellement lucratives parmi les utilisateurs compromis.
Comparé aux malwares traditionnels de vol d'informations, qui dérobent principalement des mots de passe et des identifiants, VOLTA peut également analyser les données volées pour établir des profils de victimes et déterminer quels actifs les pirates peuvent potentiellement exploiter à des fins lucratives.
Les portefeuilles crypto, cibles de premier choix
Notamment, l'une des fonctionnalités les plus dangereuses de VOLTA est sa capacité à extraire des informations sensibles sur les portefeuilles crypto, y compris les phrases de récupération (seed phrases), ce qui peut potentiellement donner aux attaquants accès aux actifs numériques.
VOLTA inclut également des fonctionnalités capables de craquer les coffres des portefeuilles de cryptomonnaies, ce qui représente un risque majeur pour les personnes qui stockent les identifiants de leur portefeuille crypto sur leur ordinateur.
Mais ses fonctionnalités ne se limitent pas au vol de crypto.
Comme l'explique Ryan Fetterman, chercheur en sécurité chez Cisco Talos, VOLTA peut également récupérer les mots de passe enregistrés dans le navigateur, les informations de cartes de paiement, les jetons d'authentification, les identifiants de messagerie et les sessions actives sur des plateformes populaires comme Telegram, Discord, Steam et Roblox.
Il peut aussi extraire des informations des comptes Outlook et des espaces de travail Slack, ainsi que d'autres informations personnelles et professionnelles présentes sur le système infecté.
Le malware va encore plus loin en analysant les comptes de messagerie des victimes pour récupérer davantage de données personnelles.
Par exemple, il peut analyser les comptes Gmail à la recherche de confirmations d'achat et de reçus de services comme Amazon, PayPal, Walmart, DoorDash et Uber Eats.
Ainsi, les attaquants peuvent obtenir plus de détails sur l'identité d'une victime, son adresse personnelle, son emploi et ses habitudes de dépenses.
Des modèles d'IA comme Claude, Gemini et Kimi
Le malware peut envoyer les données volées à des modèles d'IA via le service OpenRouter, qui donne accès à plusieurs modèles d'IA.
Il tente d'abord de traiter les données collectées à l'aide de Claude Opus 4.6 d'Anthropic.
Si le modèle ne parvient pas à traiter la requête, VOLTA est codé en dur pour essayer Kimi K2 de Moonshot AI et Gemini 2.5 Flash de Google.
Comme l'explique Cisco Talos, VOLTA recherche spécifiquement les réponses de refus avant de tenter d'utiliser un autre modèle d'IA.
Il fournit les données collectées aux modèles d'IA et leur demande de les analyser, en fournissant une évaluation complète de la valeur financière d'une victime.
Il peut également aider à identifier les actifs de valeur, puis à les classer en fonction de leur potentiel lucratif. Il peut aussi évaluer la cybersécurité d'une victime.
Essentiellement, il permet aux pirates d'utiliser des modèles d'IA pour trouver des cibles potentiellement lucratives sans avoir besoin de parcourir manuellement les données volées.
